סקירה כללית על איומים מתואמים

התכונה "איומים קשורים" ב-Security Command Center עוזרת לכם לגלות איומים פעילים קריטיים בסביבה שלכם. התכונה "איומים קשורים" מפיקה קבוצה של ממצאים שקשורים לאיומים ומספקת הסברים מעמיקים על הממצאים האלה, שבהם אתם יכולים להשתמש כדי לתעדף את האיומים, להבין אותם ולהגיב להם.

צוותי אבטחה חווים לעיתים קרובות עייפות מהתראות, בגלל שהם צריכים לנהל מספר עצום של ממצאי איומים. במצב כזה, יכול להיות שתפספסו הודעות או שתקבלו אותן באיחור. הצוותים האלה צריכים לקבל במהירות מידע רלוונטי לפי סדר עדיפויות כדי לזהות פעילות אחרי ניצול פרצה.

התכונה "איומים קשורים" עוזרת לאסוף כמה ממצאים של איומים קשורים לבעיה אחת. הצבירה הזו עוזרת לספק זיהויים ברמת ודאות גבוהה יותר, שתוכלו לפעול לפיהם. התכונה "איומים קשורים" יוצרת בעיה שמייצגת סדרה של פעילויות זדוניות קשורות.

לתכונות האלו יש כמה יתרונות:

  • הפחתת עומס ההתראות על ידי איחוד של ממצאים רבים לבעיות קריטיות.
  • משפר את מהימנות הזיהוי על ידי שילוב של כמה אותות, וכך מגביר את רמת המהימנות של זיהוי פעילות זדונית.
  • הצגה חזותית של שרשרת ההתקפה, שמראה איך האירועים קשורים זה לזה כדי ליצור סיפור התקפה שלם. הגישה הזו עוזרת לכם לצפות את המהלכים של היריב ולזהות במהירות נכסים שנפגעו.
  • הדגשת איומים קריטיים ומתן המלצות ברורות, כדי לעזור לכם לתעדף ולהאיץ את התגובה.

איך פועל האיום "איומים קשורים"

התכונה "איומים קשורים" משתמשת במנוע כללים כדי לזהות ולקבץ ממצאי אבטחה קשורים.

מנוע הכללים שולח שאילתות ל-Security Graph באמצעות שאילתות מוגדרות מראש של Correlated Threats. המנוע יוצר בעיות כשהוא מזהה דפוס. ב-Security Command Center מנוהל מחזור החיים של הבעיות האלה.

מחזור החיים של בעיה

אם לא משנים את הסטטוס ל-INACTIVE, הבעיה נשארת פעילה למשך 14 ימים אחרי הזיהוי הראשוני של האיום. אי אפשר לשנות את התקופה הזו. אם המשאבים הבסיסיים, כמו מכונות וירטואליות או צומתי Google Kubernetes Engine, נמחקים, המצב של האיום המתואם משתנה באופן אוטומטי ל-INACTIVE.

תדירות הסריקה

ב-Security Command Center, הכללים של Correlated Threat מעובדים מדי שעה.

כללים של איומים קשורים

התכונה "איומים קשורים" עוזרת לזהות דפוסים שונים של מתקפות בכמה שלבים במשאבים בענן. בטבלה הבאה מוגדרים הכללים הזמינים של איומים קשורים.

כלל תיאור
מספר אותות איום קשורים של תוכנה לכריית מטבעות וירטואליים מחפש אותות מרובים ונפרדים של תוכנות זדוניות שמגיעות ממכונות וירטואליות של Google Cloud , כולל מכונות וירטואליות של Compute Engine וצמתים של Google Kubernetes Engine (GKE) (וה-Pods שלהם).

לדוגמה:

  • ‫VM Threat Detection מזהה תוכנה של מטבעות וירטואליים, ו-Event Threat Detection מזהה חיבורים לכתובות IP או לדומיינים של מטבעות וירטואליים מאותה מכונה וירטואלית.
  • הכלי "זיהוי איומים בקונטיינר" מזהה תוכנה שמשתמשת בפרוטוקול Stratum לכריית מטבעות וירטואליים, והכלי Event Threat Detection מזהה חיבור לכתובת IP של כריית מטבעות וירטואליים מאותו צומת של Google Kubernetes Engine.
מספר אותות איום קשורים של תוכנה זדונית מחפשים כמה אותות נפרדים של תוכנות זדוניות שמגיעות ממכונות וירטואליות של Google Cloud, כולל מכונות וירטואליות של Compute Engine וצמתים של GKE (וה-Pods שלהם) או Agent Runtime.

לדוגמה:

  • השירות "זיהוי איומים בקונטיינר" מזהה אם גם קובץ בינארי זדוני וגם סקריפט Python זדוני פועלים באותו Pod.
  • ‫Event Threat Detection מזהה מכונה וירטואלית שמתחברת לכתובת IP של תוכנה זדונית, ו-VM Threat Detection מזהה תוכנה זדונית בדיסק באותה מכונה וירטואלית.
  • ‫Agent Platform Threat Detection מזהה כתובת URL זדונית ו-reverse shell מאותו סוכן AI.
תנועה רוחבית מחשבון GCP שעלול להיות פרוץ למשאב מחשוב פרוץ חפשו ראיות לקריאות חשודות לממשקי API של Compute (‏Compute Engine או GKE) שמשנים מכונה וירטואלית או Pod. לאחר מכן, הכלל מקשר בין הפעילות הזו לבין פעילות זדונית שמקורה במשאב המחשוב בפרק זמן קצר. תוקפים משתמשים בדרך כלל בדפוס התנועה הרוחבית הזה. הכלל הזה מציין שכנראה ה-VM או ה-Pod נפרצו. הכלל הזה גם מציין שחשבון Google Cloud (חשבון משתמש או חשבון שירות) יכול להיות הגורם לפעילות הזדונית.

לדוגמה:

  • ‫Event Threat Detection מזהה שמשתמש הוסיף מפתח SSH חדש למכונה של Compute Engine, ו-VM Threat Detection מזהה כריית מטבעות וירטואליים שפועלת באותה מכונה.
  • ‫Event Threat Detection מזהה שחשבון שירות ניגש למכונה באמצעות Compute Engine API מרשת Tor, וגם מזהה חיבורים לכתובת IP זדונית מאותה מכונה.
  • ‫Event Threat Detection מזהה שמשתמש יצר קונטיינר עם הרשאות, וזיהוי איומים בקונטיינר מזהה שהקונטיינר ניגש לקבצים רגישים בצומת GKE מאותו Pod.

חקירת איומים קשורים

בקטעים הבאים מוסבר איך לחקור בעיות שקשורות לאיומים מקושרים. במאמר ניהול ותיקון של בעיות מוסבר איך לראות ולתקן בעיות שנוצרו על ידי כללים של איומים מקושרים.

קליטה

אתם מקבלים התראה על בעיה מסוג Correlated Threats דרך Security Command Center. הבעיה הזו מציינת שהמערכת זיהתה וקיבצה כמה ממצאים חשודים. אתם מזהים שהבעיה הזו בעדיפות גבוהה, כי היא מסומנת כאיום פעיל. המתאם בין כמה אותות מצביע על תוצאה חיובית אמיתית שדורשת התייחסות מיידית. איך מנהלים ומתקנים בעיות

פירוק

פותחים את הבעיה כדי לראות את החלקים שלה. בתצוגת פרטי הבעיה, אתם יכולים להרחיב קטע כדי לראות את הממצאים הספציפיים. לדוגמה, אם סקריפט מזיק פועל בצומת GKE ואז מתחבר לכתובת IP זדונית, שני האירועים מופיעים ביחד. בודקים את הפרטים של כל ממצא, כמו מתי הוא קרה, אילו תהליכים היו מעורבים, כתובות ה-IP הזדוניות ומאיפה הגיע הזיהוי. המידע הזה מצביע על כך שהאירועים קשורים זה לזה, ומסביר את הפרטים הטכניים של המתקפה. תצוגה כרונולוגית מראה את רצף האירועים. המערכת ממפה את הפרטים האלה לשלבים בשרשרת ההתקפה של MITRE ATT&CK ומציגה אותם בתצוגה חזותית של שרשרת ההתקפה. התכונה הזו מספקת הקשר מיידי לגבי שלב המתקפה.

זיהוי ההיקף

קובעים את היקף האיום. בודקים את המידע על ההקשר של האירועים המתואמים, כמו הנכס שהושפע וההקשר של הפרויקט או האשכול שלו. הפלטפורמה מקשרת בין בעיות לפי משאב, ומשתמשת במזהים ייחודיים כדי לקשר אירועים לאותו צומת. כאן מוצג הנכס המושפע. בודקים אם יש נכסים אחרים עם סימנים דומים. שימו לב לזהויות שמעורבות, כמו חשבון השירות או המשתמש שהפעילו את הסקריפט הזדוני. התצוגה הממוקדת הזו עוזרת לכם להתמקד במערכות המושפעות, ולוודא אם האירוע מקומי או נרחב.

הפעולות הבאות

המערכת מסמנת בעיות של איומים קשורים ברמת חומרה קריטית. אפשר למצוא פעולות מומלצות בתצוגות איך לפתור את הבעיה. לבלום את הנכס המושפע, למשל על ידי בידוד או כיבוי של צומת GKE המושפע. פועלים לפי ההמלצות, כמו חסימת כתובת ה-IP הזדונית הידועה ברמת חומת האש או ברמת ה-VPC בענן. הפעולות המומלצות עוזרות לכם להגיב מהר יותר, להכיל את האירוע ולהתחיל חקירה ממוקדת. מידע נוסף על חקירת איומים זמין במאמר איך חוקרים איומים.

המאמרים הבאים